Jak donosi Dziennik Gazeta Prawna (https://tiny.pl/ttzjs ), „Podmiot zbiorowy – czyli przedsiębiorca – będzie musiał interesować się procesem rekrutacji pracowników tymczasowych, ich przeszkoleniem, a następnie tym, czy odpowiednio wykonują pracę. Jeśli zaś nadal nie będzie się tym przejmował, a pracownik popełni przestępstwo (choćby nieumyślne), przedsiębiorcy grozić będzie wysoka kara finansowa”. Jeśli projekt ustawy „o odpowiedzialności podmiotów zbiorowych za czyny zabronione pod groźbą kary” zostanie przyjęty, oznaczać to może, że podmiot korzystający z usług agencji pracy tymczasowej wraz z agencją pracy staną się tzw. współadministratorami.
Co to oznacza?
Obecnie większość podmiotów korzystających z usług agencji pracy tymczasowej stosuje rozwiązanie polegające na zawieraniu umów powierzenia pomiędzy agencją pracy tymczasowej (administratorem danych osobowych pracowników tymczasowych, czyli rzeczywistego pracodawcy pracownika tymczasowego), a pracodawcą użytkownikiem, który w tej relacji jest tzw. podmiotem przetwarzającym. Rozwiązanie to było wskazane przez byłe GIODO i na gruncie RODO zostało utrzymane. Szereg specjalistów ds. ochrony danych osobowych negowało i neguje taki model twierdząc, iż relacja agencji pracy tymczasowej i pracodawcy użytkownika to relacja administrator danych – administrator danych. Niewątpliwie taki model byłby najprostszy w przepływie danych osobowych. Nie mniej jednak zgodnie z projektem ustawy „o odpowiedzialności podmiotów zbiorowych za czyny zabronione pod groźbą kary” pracodawca użytkownik byłby zobowiązany do czynnego udziału w postępowaniu rekrutacyjnym i szkoleniowym. Jeżeli okaże się, że wspólnie z agencją pracy będzie prowadził proces rekrutacji wówczas może dojść do tzw. zjawiska współadministracji – określonego w art. 26 RODO. O ile dla niektórych może się to wydać pewną nowością, o tyle takie rozwiązania są praktykowane, szczególnie gdy proces rekrutacji jest procesem dzielonym pomiędzy pracodawcę użytkowania, który np. udostępnia bazę kandydatów do pracy agencji pracy, której zdaniem jest kontakt z aplikującymi i ich zatrudnienie po akceptacji pracodawcy użytkownika. Takie praktyki, jak współudział w procesie rekrutacji tych dwóch podmiotów będzie współadministracją.
Rozwiązanie współadministracji zostało także wskazane przez dr Lubasza i PUODO dr Edytę Bielak – Jomaa[i] zgodnie z którym czytamy „Przedsiębiorstwo rekrutacyjne wspiera inny podmiot w pozyskiwaniu pracowników, wykorzystując do tego celu zarówno własne bazy danych, jak i dane przekazane do analizy przez ten inny podmiot, w ocenie Grupy Roboczej Art. 29 oba te podmioty w zakresie, który dotyczy prowadzenia rekrutacji, powinny być traktowane, jako współadministratorzy na potrzeby tego projektu”.
Nie mniej jednak należy mieć na uwadze, iż pracodawca użytkownik niezależnie od zawartej umowy powierzenia będzie pełnił rolę administratora danych osobowych pracownika tymczasowego, np. w kwestii nagrań monitoringu.
Współadministracja tych dwóch podmiotów wymagać będzie:
- Określenia celów
- Podpisania umowy o wpsóładminsitracji, przy rozwiązaniu umowy powierzenia przetwarzania danych osobowych
- Określenie ryzyka danych osobowych do współdzielonego procesu
- Podziału obowiązków realizacji praw podmiotów danych w procesie
- Zmian w prowadzonych rejestrach czynności przetwarzania, przy jednoczesnym zakończeniu prowadzenia rejestru kategorii czynności przetwarzania prowadzonego przez pracodawcę użytkownika, o ile została zawarta umowa powierzenia przetwarzania danych osobowych
- Zmian w obowiązkach informacyjnych art. 13 lub 14 RODO – wskazanie współadministratora, w tym właściwego podmiotu realizującego prawa osób fizycznych, których dane dotyczą
Na zakończenie warto przytoczyć również zapis motywu 146 RODO zgodnie z którym „ Jeżeli administratorzy lub podmioty przetwarzające uczestniczą w tym samym przetwarzaniu, każdy administrator lub podmiot przetwarzający powinien odpowiadać prawnie za całość szkody. Jeżeli jednak zostaną włączeni do jednego postępowania sądowego zgodnie z prawem państwa członkowskiego, odszkodowaniem można obarczyć każdego z administratorów i każdy z podmiotów przetwarzających stosownie do ich winy za szkodę wynikłą z przetwarzania, o ile osobie, której dane dotyczą, zapewnione zostanie pełne i skuteczne odszkodowanie za poniesioną szkodę. Każdy administrator lub podmiot przetwarzający, który wypłacił pełne odszkodowanie, może następnie dochodzić roszczeń regresowych wobec innych administratorów lub podmiotów przetwarzających uczestniczących w tym samym przetwarzaniu”
[i] RODO Ogólne Rozporządzenie o ochronie danych. Komentarz, red. naukowa: Edyta Bielak – Jomaa, Dominik Lubasz, Wolters Kluwer, Warszawa 2018, str. 615-616